1、xx農村信用社手機銀行風險管理辦法（試行）第一章總則第一條 為確保xx農村信用社手機銀行系統運行安全， 按照中國銀行業監督管理委員會電子銀行業務管理辦法的有 關要求，特制定本辦法。第二條 手機銀行安全管理設計的基本原則（一）完善手機銀行安全管理體系。手機銀行的安全管理體系包括技術管理體系、業務管理體系和內控管理體系。（二）建立合理的授權制度。（三）采用綜合性的智能網絡管理系統，提供一體化的網絡管理服務。（四）手機銀行的安全管理應建立完善的內控管理制度。（五）手機銀行應該建立起一套集保護、監測、反應于一體的動態監控和預警體系。（六）對于可能引起系統中斷或故障的各種原因要進行評估， 要事先制定出相

2、應的災難恢復計劃。第二章技術方面的風險控制措施第三條 采用權威性的、可信賴性的金融認證中心（cfca） 證書認證體系，以及電子簽名技術，保證客戶的身份認證，交易 信息的完整性、保密性、可用性、可控性、可審查性以及不可抵 賴性。第四條在手機銀行系統中，采用二級防火墻、入侵檢測、 漏洞掃描技術作為系統安全的核心,可以有效的抵御內外的攻擊。 第五條訪問控制。網絡接入點采用兩臺防火墻互為備份，通過劃分外網區、dmz 區和內網區不同安全區域，對不同級別的訪問進行嚴格端口和服務限制。第六條 入侵檢測系統置于手機銀行 web 服務器區域。移動網絡的接入點通過防火墻進行隔離，對于進入內部的信息，入侵 檢測進行

3、掃描，入侵檢測一旦發現危險的操作，技術人員通過對 入侵檢測的信息進行分析，及時對防火墻進行相應的安全策略調 整，能夠有效防止入侵者（黑客）的欺騙性攻擊。進入我行社的內部網（防火墻內部端口區）后，所有與相關服務器的連接都要經過二級防火墻，一級防火墻的內部區位于二級防火墻的外部區，此區域對防火墻的其他區域進入要求非常高。手機銀行數據和應用服務器都在防火墻單獨的區域內，內部網絡都無法直接訪問數據服務器，均設定訪問控制、端口控制和地址轉換。第七條 為保證整個系統的安全，利用漏洞掃描系統定期對移動網絡入口設備、內部網絡設備和服務器進行檢測，一旦發現 漏洞及時對系統進行升級，對網絡部署進行調整，并充分發揮

4、現 有設備的作用，保證系統的安全性和穩定性。第八條 通過防火墻日志，能夠實時監控系統的運行，及時地掌握系統安全狀況，發現問題并作出相應的對策。第三章業務流程方面的風險控制措施第九條系統管理員對主管柜員的操作權限進行設置，不允 許其操作個人指令，只允許其查詢。第十條簽約個人用戶登錄、使用手機銀行，綁定用戶當前 使用的手機終端設備，并增加短信驗證碼對其密碼的保護。第十一條系統設置單筆限額和累計限額。采用動態短信驗證碼及支付密碼認證，系統設置最高單筆限額和最高日累計限額， 同時支持客戶在系統最高限額范圍內根據個人需求設置最高單筆限額和最高日累計限額。第十二條客戶在每次登錄手機銀行系統時，系統提示預留

5、 信息和登錄次數。第十三條為防止經辦柜員遺漏操作業務造成風險。系統設置經辦人員查詢業務處理時，直接打印清單，才能進行業務處理， 如果未打印清單，則不能進行業務處理。第十四條 各行社內管柜員如果發現可疑指令,先通過綜合業務系統進行查詢；如果已經扣款成功，打印清單后直接處理； 如果綜合業務系統扣款不成功，內管柜員選擇放棄該筆指令。第十五條 如果落地指令經過柜員審核不通過而選擇拒絕， 則柜員要進行手工沖賬，確保客戶提交的每筆指令安全性。第十六條 轉賬交易需同時輸入收款人賬號和收款人戶名， 并在后續交易界面重復顯示收款人賬號、收款人戶名和轉賬金額 等重要信息，防止操作失誤。第四章管理制度方面的風險控制

6、措施第十七條設置手機銀行相關管理機構或崗位,省聯社設置 手機銀行安全主管及安全管理組、手機銀行應急小組等。第十八條制定手機銀行系統運行考核指標，建立安全評估制度，定期檢測所有關鍵設備（網絡設備、主機等）、系統軟件的工作狀態、業務操作系統的運作情況，審查其工作日志。嚴密監控手機銀行系統（防火墻、入侵檢測系統、漏洞掃描系統、病毒防護系統、主機系統等）的日常運行，發現異常情況即時處理， 確保手機銀行的安全。第十九條制定整體安全策略、業務運行應急計劃、業務連 續性計劃。（一）系統的備份情況，包括軟硬件的備份和數據的備份。 備份系統核心系統的安放位置應足以保證在當前系統無法運作時 不會受到影響，備份系統

7、的安全水平應不低于當前系統的安全水 平。（二）對意外事故的處理。在自然災害或突發性事件（例如 地震、電擊、非正常斷電、外力帶來的物理性損毀等）導致系統 突然停頓、業務中斷情況下的應對措施和實施程序，包括啟用備 用設備、恢復系統和數據的措施等。（三）對非法侵入或攻擊的處理。主要指在遭到內外部的非 法侵入和攻擊而導致數據被竊、資金損失、程序混亂、系統癱瘓 等情況下的應對措施和實施程序。第二十條 以網站的方式向客戶說明和公開各種手機銀行業務品種的交易規則，在客戶申請某項手機銀行業務品種時，向客 戶說明該品種的交易風險及其在具體交易中的權利與義務。第二十一條 內部審計。配備手機銀行業務審計力量，定期對手機銀行業務進行審計。第二十二條 人員培訓。根據業務發展需要，適時對從業人員進行培訓，及時更新系統安全保障技術和設備。第二十三條 手機銀行管理崗位和